核心要点（TL;DR）

• 一句话木马通常只有几十字节，核心是 eval、assert、system 等函数接收外部参数。
• 挂马文件多藏在 uploads、wp-content 与主题目录，常伪装成图片或缓存文件。
• 查杀顺序应为定位文件、比对时间、溯源日志、清理加固，缺一不可。
• 只删木马不改密码与密钥，通常数天内会被重新写入。

凌晨收到监控告警，首页被跳转到博彩站，登录服务器却翻遍目录也找不到明显异常文件——这是 WordPress 站长最典型的挂马场景。本文面向需要立刻动手的运维与站长，围绕一句话木马的文件特征、落点规律、定位命令与分步查杀流程展开，给出可直接复制执行的排查清单，帮你在不重装站点的前提下清除后门并堵住二次入侵入口。

一句话木马长什么样：三个特征快速识别

一句话木马（webshell）的核心特征只有一个：用极短的 PHP 代码接收外部参数并动态执行。它语法合法，因此特征库很难命中，但人工排查时有明显痕迹。

• 危险函数直连外部输入：常见组合是 eval($_POST['x'])、assert($_REQUEST['cmd'])、system($_GET['c'])、create_function('',$_POST['a'])。
• 体积异常小：几十到几百字节，却出现在本不该有 PHP 的目录，如 wp-content/uploads/2024/05/logo.php。
• 伪装命名：文件名形如 index.php.bak、.shell.php、wp-cache-9f3a.php，或干脆以图片扩展名存放再配合解析漏洞。

变种会做字符串拼接与编码混淆，例如 $f='ass'.'ert';$f($_POST['p']); 或 eval(base64_decode($_POST['z']))。识别思路不变：只要看到动态执行函数接收请求变量，就按可疑文件处理。

挂马落点与危害：为什么删了还会长回来

WordPress 被挂马通常不是单点问题，而是入口未封导致反复写入。常见落点与对应风险如下：

只删除木马文件而不处理入口，攻击者凭旧密码、旧密钥或未修补的插件漏洞可在数天内重新写入。查杀必须包含溯源与加固两步。

定位：用命令把可疑文件筛出来

登录服务器后先备份整站与数据库，再按以下顺序执行。所有命令在站点根目录运行。

1. 按危险函数关键字扫描

grep -rn --include=*.php -E "eval\(|assert\(|base64_decode\(|shell_exec\(|passthru\(|create_function\(" . | grep -v "vendor/"

重点看结果中参数为 $_POST、$_GET、$_REQUEST、$_COOKIE 的行，正常业务代码极少这样写。

2. 按修改时间锁定入侵窗口

find . -type f -name "*.php" -newermt "2024-05-01" ! -newermt "2024-05-10" -ls

把时间换成告警或异常访问出现的时间段。核心、主题、插件在未更新期间不应有文件变动，命中即为高嫌疑。

3. 揪出伪装文件与异常权限

find . -type f \( -name "*.php" -o -name "*.phtml" \) -path "*uploads*"
find . -type f -perm -o+w -name "*.php"
find . -type f -name ".*.php"

4. 日志溯源确认入口

grep -E "POST .*\.php" /var/log/nginx/access.log | awk '{print ,}' | sort | uniq -c | sort -rn | head -30

统计高频 POST 目标文件与来源 IP，结合 wp-login.php 爆破记录、插件上传接口调用，基本能还原攻击路径。

分步查杀：从隔离到清理的完整流程

1. 隔离站点：将站点切到维护模式或临时下线，避免清理过程中继续被利用；保留一份完整快照用于取证。
2. 核对核心文件完整性：从官方下载同版本 WordPress，用 diff -r 对比 wp-admin、wp-includes 目录，差异文件直接以官方版本覆盖。
3. 清理主题与插件：删除停用插件目录；当前主题用官方包重新覆盖，仅保留自建的 style.css 与必要模板改动。
4. 清理 uploads 与根目录：删除所有 PHP 文件，检查 .htaccess、index.php、wp-config.php 是否被插入跳转或外链代码。
5. 检查数据库：在 wp_options 中核对 siteurl、home；在 wp_posts 中搜索 <script、iframe 关键字，清除注入内容。
6. 轮换全部凭据：修改后台管理员、数据库、SSH/FTP 密码，替换 wp-config.php 中八项安全盐值，强制全员重新登录。
7. 复查残留：检查 crontab -l、/etc/cron.d、~/.ssh/authorized_keys、systemd 自定义服务，确认无持久化后门。
8. 恢复上线并观察：上线后连续三天监控文件变动与异常 POST 请求，确认无回写。

若站点已被搜索引擎标记或收录异常页面，清理完成后提交死链、更新 sitemap，并申请安全复核，避免流量持续流失。

加固清单：让木马写不进来

• 目录权限：目录 755、文件 644，属主与 Web 运行用户分离，禁止 777。
• 上传目录禁执行：在 wp-content/uploads/.htaccess 中加入 php_flag engine off，Nginx 侧用 location 规则拒绝执行 PHP。
• 后台防护：启用双因素认证，限制 wp-login.php 访问来源，修改默认登录路径。
• 版本管理：核心、主题、插件保持更新，删除不用插件与主题，禁用文件在线编辑（DISALLOW_FILE_EDIT）。
• 边界拦截：在 Web 层部署 WAF，拦截 webshell 上传与命令执行类请求。AegisX 的网站防火墙可对上传目录的 PHP 访问与常见一句话木马请求特征做实时阻断，配合文件完整性监控，能在木马落地阶段就告警，减少事后排查成本。
• 备份策略：保留离线备份并验证可恢复性，避免清理失误导致数据不可逆丢失。

行动建议：今天就按上面的命令跑一遍关键字扫描与时间比对，把结果记录成基线；随后完成凭据轮换与上传目录禁执行两项加固。挂马排查的关键不是删掉那一个文件，而是确认入口已封、后门已清、凭据已换——三步做完，才算真正处理完毕。

常见问题（FAQ）

网站首页被跳转到博彩页面，但服务器上找不到可疑文件怎么办？

先怀疑入口不在文件层而在数据库或主题配置。检查 wp_options 表中 siteurl、home 字段是否被改，搜索 wp_posts 内容里的 script 与 iframe 标签；同时用 grep -rn "base64_decode" 扫描 wp-content 全目录。若仍无结果，导出数据库用文本工具搜索 eval、iframe 关键字，并核对 .htaccess 与 wp-config.php 是否被插入跳转代码。

一句话木马和普通恶意代码有什么区别，为什么杀毒软件扫不出来？

一句话木马本质是一段合法 PHP 代码，只调用 eval、assert、create_function 等动态执行函数接收外部请求参数，语法上完全合规，因此特征库难以命中。它体积小、可变形，攻击者常用字符串拼接、变量函数、混淆编码绕过检测。有效方式是结合文件修改时间、访问日志中的 POST 请求与函数关键字做行为排查，而非单纯依赖特征扫描。

清理木马后需要改哪些密码和密钥？

必须全量更换：WordPress 后台所有管理员密码、数据库用户密码、FTP/SFTP 与 SSH 密码、主机控制面板密码。同时更换 wp-config.php 中的 AUTH_KEY、SECURE_AUTH_KEY、LOGGED_IN_KEY 等八项盐值，强制所有用户重新登录。若使用 CDN 或对象存储，同步轮换 API 密钥。遗漏任一项，攻击者都可能凭旧凭据重新写入后门。

如何判断服务器是否还存在未被发现的后门？

做三件事：一是用 find 按时间列出被入侵时间段内新增或修改的 PHP 文件；二是检查 crontab、systemd 服务与 /etc/rc.local 是否有异常定时任务；三是查看 authorized_keys 是否被追加公钥。再用 grep 全站搜索 eval、assert、shell_exec、passthru 等危险函数调用。三项交叉验证后仍可疑，建议备份数据后重装环境。

WordPress 挂马清理后如何防止再次发生？

核心是收口入口与权限：后台开启双因素认证，限制 wp-login.php 访问来源；wp-content/uploads 目录禁止执行 PHP；文件和目录权限设为 644/755，属主与 Web 进程分离；及时更新核心、主题与插件，删除停用插件。再叠加 WAF 拦截常见 webshell 上传与命令执行请求，能显著降低二次入侵概率。